CVE-2024-58378: Kritisk fejl i Nokogiri til Ruby

CVE-2024-58378 er en use-after-free fejl, hvor et program ved en fejl bruger hukommelse, der allerede er frigivet, i biblioteket Nokogiri til programmeringssproget Ruby. Nokogiri bruges til at læse og behandle XML- og HTML-dokumenter, og fejlen ligger i det underliggende bibliotek libxml2, som Nokogiri leverer indbygget. Når en applikation bruger Nokogiri’s XML Reader-funktion med DTD-validering, som er kontrol af et dokuments struktur mod en skabelon, og XInclude, som er indsættelse af eksternt XML-indhold, kan et særligt udformet XML-dokument udløse fejlen i funktionen xmlValidatePopElement.

Det rammer virksomheder, der har udviklet eller købt Ruby-baserede applikationer, der bruger Nokogiri-gemmet til at parse XML, og som kører CRuby, den almindelige Ruby-fortolker, med det pakkede libxml2 i stedet for systemets eget. Sårbare versioner er Nokogiri før 1.15.6 og 1.16.x før 1.16.2. Installationer, der bruger JRuby eller systemets libxml2 i stedet for det medfølgende, er ikke ramt.

En vellykket udnyttelse kan gøre en applikation ustabil og få den til at gå ned, eller i værste fald give en angriber mulighed for at køre egen kode på serveren, fordi hukommelsen kan manipuleres efter frigivelse. For en dansk virksomhed betyder det risiko for nedbrud af en webtjeneste, eller hvis koden kan udføres, adgang til data og systemer bag applikationen.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket. Det kræver dog, at applikationen aktivt bruger XML Reader-funktionen med DTD-validering og XInclude aktiveret samtidig, hvilket ikke er standardopsætning i alle applikationer. Der er ikke kendte tilfælde af aktiv udnyttelse på offentliggørelsesdatoen.

Sårbarheden lukkes ved at opdatere Nokogiri-gemmet til en version, hvor libxml2 er opdateret.

1. Opdatér Nokogiri til mindst version 1.15.6 eller 1.16.2, afhængig af hvilken major-linje I bruger.
2. Kør bundle update nokogiri eller gem update nokogiri, og genbyg og genudsend applikationen.
3. Undersøg, om jeres applikation bruger Nokogiri::XML::Reader med DTD-validering og XInclude aktiveret, så I kender jeres eksponering.
4. Tjek, om I kører CRuby med pakket libxml2, eller om I bruger systemets libxml2 eller JRuby, som ikke er ramt.
5. Gennemgå logs for usædvanlig XML-trafik, hvis I ikke kan opdatere med det samme.
6. Kontakt jeres leverandør eller en sikkerhedsrådgiver, hvis I ikke selv har styr på jeres Ruby-afhængigheder eller ikke kan opdatere uden risiko for driftsstop.